单生产环境Bicep部署模板验证失败原因排查

我有一个带引用模块的Bicep模板，用于部署带自定义域的Azure Front Door、DNS Zone并创建自定义域验证的TXT记录。该模板在其他环境运行正常，但部署到生产环境时失败，错误信息如下：

{
  "code": "DeploymentFailed",
  "target": "/subscriptions/[subscription id]/resourceGroups/[resource group]/providers/Microsoft.Resources/deployments/myCustomDomain",
  "message": "At least one resource deployment operation failed. Please list deployment operations for details. Please see https://aka.ms/arm-deployment-operations for usage details.",
  "details": [
    {
      "code": "InvalidTemplate",
      "message": "Deployment template validation failed: 'The value for the template parameter 'validationToken' at line '1' and column '737' is not provided. Please see https://aka.ms/arm-create-parameter-file for usage details.'.",
      "additionalInfo": [
        {
          "type": "TemplateViolation",
          "info": {
            "lineNumber": 1,
            "linePosition": 737,
            "path": "properties.template.parameters.validationToken"
          }
        }
      ]
    }
  ]
}

验证流程通过模块调用实现，该模块包含validationToken参数。错误提示该参数未提供，但实际该参数是从Microsoft.Cdn/profiles/customDomains资源的customDomain.properties.validationProperties.validationToken获取的，相关代码如下：

resource customDomain 'Microsoft.Cdn/profiles/customDomains@2022-11-01-preview' = {
  name: domainResourceName
  parent: frontDoor
  properties: {
    hostName: domain.name
    azureDnsZone: {
      id: dns.id
    }
    tlsSettings: {
      certificateType: 'CustomerCertificate'
      minimumTlsVersion: 'TLS12'
      secret: {
        id: frontDoorSecret.id
      }
    }
  }
}

module verification 'myverificationmodule.bicep' = {
  name: 'verification-${domainResourceName}'
  scope: resourceGroup(domain.subscriptionId, domain.resourceGroup)
  params: {
    customDomainStatus: customDomain.properties.domainValidationState
    dnsZone: domain.name
    validationToken: customDomain.properties.validationProperties.validationToken
  }
}

请问是否存在竞态条件或其他原因导致仅该生产环境出现此问题？

核心原因：竞态条件+生产环境资源特性差异 #

• 竞态条件是主因：部署customDomain资源时，Azure Front Door的自定义域验证token并非即时生成。生产环境资源负载更高、域验证流程耗时更长，导致verification模块启动部署时，customDomain.properties.validationProperties.validationToken还未被Azure填充，传递的参数值为null，触发模板参数缺失错误。测试/非生产环境资源负载低，验证流程完成更快，因此未触发该问题。

• 额外影响因素：

  • 生产环境的自定义域可能存在历史验证记录或状态，导致Azure返回的资源属性延迟或结构异常，无法及时获取token。
  • 跨资源组部署延迟：verification模块跨资源组部署，生产环境的跨RG调度延迟会加剧竞态条件，使得参数读取时机过早。

修复方案 #

1. 添加显式依赖：在verification模块中添加对customDomain的显式依赖，确保仅在customDomain完全部署且验证属性就绪后才执行模块部署：

module verification 'myverificationmodule.bicep' = {
  name: 'verification-${domainResourceName}'
  scope: resourceGroup(domain.subscriptionId, domain.resourceGroup)
  dependsOn: [customDomain]
  params: {
    customDomainStatus: customDomain.properties.domainValidationState
    dnsZone: domain.name
    validationToken: customDomain.properties.validationProperties.validationToken
  }
}

2. 参数兼容处理：在myverificationmodule.bicep中给validationToken参数设置默认值（如空字符串），避免临时null值触发模板验证错误，同时在模块内部添加逻辑，仅当token非空时才创建TXT记录。

3. 分阶段部署：将自定义域部署与验证记录创建拆分为两个独立部署步骤，先确认customDomain的验证状态和token就绪后，再执行验证模块部署。

内容的提问来源于stack exchange，提问作者Steven Brookes